Hayden.
E bentornato.
Ora, nel video di oggi, parleremo di un servizio di guardia.
Ora il servizio di guardia è stato uno dei miei servizi di sicurezza preferiti.
E in generale, ogni volta che iniziamo a consultare l'organizzazione, in particolare quella che è stata violata,
questo è uno dei primi servizi che abbiamo abilitato.
Vediamo quindi il motivo per cui questo servizio si rivela molto importante nell'area della sicurezza.
Quindi l'aiuto di questo servizio di guardia è un servizio di intelligence sulle minacce di ew.
S, che monitora il comportamento dannoso per aiutare i clienti a proteggere i carichi di lavoro del database.
Ora, le tue due parole sono molto importanti.
Il primo è la minaccia e il secondo è l'intelligenza.
Quindi, quando si parla di minaccia, la minaccia non è solo associata ai server, ma è anche associata agli
esseri umani.
Quindi tutto ciò che può essere dannoso per una particolare entità può essere considerato una minaccia.
E l'intelligenza è il modo in cui puoi percepire una minaccia specifica.
Ora, parlando di servizio di guardia, questo può essere spiegato meglio con questo diagramma.
Quando si dispone di un servizio di guardia, ora il servizio di guardia controlla sostanzialmente più file di registro.
Quindi può essere rilevante per il cloud, può essere log di flusso VPC, può essere log DNS.
Ora, una volta monitorati tutti, andrà avanti e lo analizzerà secondo le regole che sono state
configurate.
E da questi, andrà avanti e rileverà le minacce.
Quindi la minaccia può essere rilevata da bitcoin.
Hai l'esfiltrazione DNS, che è un attacco molto interessante.
Hai trojan trovati, hai la forza bruta e così via.
Ora, in generale, da quello che ho visto, le organizzazioni che vengono violate al giorno d'oggi, una delle prime cose
che fanno gli aggressori è andare avanti e fare mining di Bitcoin lì.
E se sei in grado di rilevare il mining di Bitcoin all'interno dei server della tua organizzazione, è probabile che i server
siano violati.
Quindi questa è una delle regole importanti che ho visto attivarsi in molte organizzazioni.
Anche in questo caso, l'esfiltrazione DNS è anche un attacco molto interessante in cui i dati dei server vengono inviati tramite
i pacchetti DNS.
Ora queste sono alcune regole di esempio qui.
Il servizio di guardia supporta molte altre regole che esamineremo tra poco.
Quindi ecco uno screenshot di esempio di un ritrovamento del servizio di guardia.
Quindi vedrai che ci sono molti risultati come l'accesso non autorizzato, che è associato
alla forza bruta del RDP.
Hai il phishing, hai avvisi relativi a Bitcoin, hai avvisi relativi alla forza bruta.
Ti sei associato a entrambe le truffe.
In particolare quando qualcuno esegue un'enorme quantità di scansione delle porte con strumenti come IMAP e così via.
Quindi ecco come appare un avviso di guardia.
Ora, se vedi che il servizio di guardia classifica gli avvisi in più risultati.
Quindi alcuni possono essere critici, altri possono essere importanti, altri possono essere informativi e così via.
Quindi anche questi risultati sono classificati e insieme a questo, alcune delle cose sono associate alla risorsa.
Quindi ti mostra anche in quale risorsa ha rilevato le minacce relative alla criptovaluta.
Quindi facciamo una cosa.
Passiamo rapidamente alla console del servizio di guardia in modo da poter capire come funzionerebbe.
Quindi questa è una console di guardia e attualmente vedi che ci sono determinati avvisi che vengono generati.
Uno degli avvisi è correlato all'utilizzo delle credenziali di instradamento.
Quindi hai una porta pro non protetta.
In genere, se hai configurato in modo errato il firewall, hai un avviso interessante relativo
alla linea client.
Se qualcuno sta usando Tor all'interno dei tuoi server, viene rilevato anche quel tipo di avviso.
Quindi apriamone uno qui e sul lato destro ti dà sostanzialmente le informazioni ad esso
correlate.
Quindi se scendi un po'.
Quindi con l'India, il tipo di azione viene messo underscore pro e ti mostra gli indirizzi IP che hanno eseguito una certa
quantità di scansioni delle porte sul tuo server.
E ti mostra anche il paese da cui proviene l'IP di origine.
Nel nostro caso, è la Cina e ti mostra anche l'ISP associato.
Quindi questa è una grande quantità di informazioni di cui il nostro ingegnere della sicurezza avrebbe davvero bisogno.
Ora, mentre stiamo discutendo, il servizio di guardia classifica fondamentalmente gli avvisi in più severità.
Quindi, se esamini l'avviso di gravità elevata, questo è quello che è il client Tor, quindi hai anche quello
associato a una gravità media.
Ne hai anche uno associato alla bassa gravità.
Ora, ancora una volta, una bassa gravità non significa che non sia necessario intraprendere alcuna azione.
Quindi, ad esempio, questa porta non protetta, questo è uno degli avvisi su cui devi agire rapidamente, ciò significa sostanzialmente
che da qualche parte hai aperto molte porte all'interno del tuo gruppo di sicurezza attraverso cui
l'istanza è esposta più di quanto dovrebbe essere o Internet.
Quindi questo tipo di avvisi sono un modo in cui puoi intraprendere rapidamente un'azione proattiva.
Ora puoi anche andare avanti e generare avvisi di esempio nel caso in cui desideri vedere che tipo di cose può rilevare
il servizio di guardia.
Quindi facciamo una cosa.
Prendiamo un esempio di un'altra regione in cui esaminiamo come è possibile abilitare il servizio di guardia e quali sono gli
avvisi.
Quindi, quando fai un servizio di guardia in una nuova regione, otterrai una console simile a questa.
Quindi facciamo clic su Inizia e tutto ciò che dovrai fare è abilitare il servizio di guardia.
Ora, come stavamo discutendo, il servizio di guardia soddisfa sostanzialmente l'autorizzazione ad analizzare
i log cloud, i log di flusso VPC e i log di query DNS per generare i risultati di sicurezza.
Quindi andiamo avanti e abilitiamo il servizio di guardia qui.
Ed è l'unica cosa che serve.
Ora, il servizio di guardia andrà avanti e analizzerà i registri all'interno di questa regione specifica e genererà
avvisi di conseguenza.
Ora puoi anche andare alle impostazioni qui.
E c'è un'opzione di ricerca del campione in cui puoi andare avanti e generare una ricerca del campione.
Quindi facciamolo.
E ora, se vai ai risultati, vedrai che ci sono molti risultati che sono stati elencati.
Quindi, ancora una volta, i risultati sono classificati in alto medio e basso.
Quindi ti incoraggio davvero a esaminare questi risultati con una panoramica di alto livello, perché ciò
ti consentirà di rilevare il tipo di guida di attacchi che prendi e di rilevare all'interno del tuo account.
Ora, prima di concludere che un certo punto importante è che dobbiamo ricordare che il primo
è che un servizio di guardia monitorerà solo la Route 53 per i log DNS.
Questo è molto importante in questo caso perché ciò che accade è che molte organizzazioni utilizzano
ancora Active Directory per il DNS ei registri di questi server non verranno monitorati.
Quindi, in pratica, diciamo che hai attacchi come l'esfiltrazione DNS che è associata ad Active Directory,
quindi il servizio di guardia non ti mostrerà alcun avviso qui.
Quindi questa è una parte importante da ricordare.
Ora, in effetti, puoi dire che è una carenza del servizio di guardia e molte organizzazioni che utilizzano
server DNS personalizzati, non saranno in grado di vedere molte cose qui.
Quindi ciò che molte delle aziende fanno è utilizzare soluzioni commerciali come Splunk Enterprise Security, che
è ancora una volta un'ottima soluzione e ha anche informazioni sulle minacce.
Quindi, quando utilizzi i nostri strumenti commerciali come Splunk o altri, il vantaggio è che non sei davvero
bloccato con i limiti di un servizio specifico.
Quindi se stai utilizzando Splunk o anche qualsiasi altro strumento, può rilevare attacchi di esfiltrazione DNS e altri
attacchi, anche se stai utilizzando Active Directory DNS.
Quindi questo è un vantaggio.
Il secondo vantaggio è che, come abbiamo visto, il servizio di guardia non tiene conto di tutti i registri.
Quindi ci vogliono cloud, rail, log di flusso VPC, log DNS.
Non tiene conto dei log associati all'istanza AC two.
Quindi possono essere i registri di controllo, i registri selvaggi, sicuri e altri.
Quindi ci sono registri limitati in cui il servizio di guardia cercherà di eseguire gli aspetti relativi all'intelligence
sulle minacce.
Quindi spero che a una panoramica di alto livello tu abbia capito cos'è il servizio di guardia.
Ora, ancora una volta, anche se il servizio di guardia non monitora molti file di registro, ma i file di registro
che controlla, fornisce molte informazioni sulle potenziali minacce, perché in molte organizzazioni ho abilitato il
servizio di guardia e ti dà un'enorme quantità di informazioni e puoi rapidamente arrotondare il server
che sarebbe stato compromesso.
Ora, uno degli svantaggi delle soluzioni commerciali è che sono molto costose e richiede anche
molto tempo per essere configurate.
Quindi il servizio di guardia, come abbiamo visto, richiede solo un clic e dipende tutto da te.
Quindi questa è la panoramica sul servizio di guardia.
Esaminiamo i vantaggi, esaminiamo anche gli svantaggi del servizio.
E ancora, ti incoraggerei davvero ad andare avanti e abilitare un servizio di guardia all'interno della tua organizzazione.
E sono sicuro che vedrai molti avvisi interessanti nei tuoi account.
Quindi con questo concluderò questo video, spero che questo video sia stato informativo per te e non vedo l'ora
di vederti nel prossimo video.